浏览量: 6,204
CentOS 8 请移步《CentOS 8 使用 Strongswan 搭梯(IPsec IKEv2 VPN)》
更新于 2018-08-29
新写了一篇简单一点的文章，移步《CentOS 7 使用 Strongswan 配置 IKEv2 VPN》 查看。
最近感觉我国”建筑行业龙头企业”的施工水平又有提升, ipsec + l2tp 方式也难逃厄运. so, 放弃, 改用 IKEv2. https://www.strongswan.org .
本文只介绍 IKEv2 方式的 VPN 配置, 如果需要 PPTP 方式, 请参考 <<CentOS VPS 建立 PPTP VPN 服务>>
这里使用的 VPS 服务器配置:
CentOS 7 / 512M / 20G ssd , $5/月. 详情请看 这里
禁用 firewallD, 启用 iptables.
strongSwan 版本 5.2
xl2tpd 版本 1.3.6
安装 strongSwan
strongSwan 的发行版已包含在 EPEL 源中, 如果没有添加 EPEL 源, 请看 <<CentOS 7 配置 LNMP + FTP 环境>> 添加 EPEL 源.
添加完 EPEL 源后输入如下命令
当前为 5.4.0 版本, 官网上最新为 5.5.0, 但是需要编译安装.
yum install strongswan
systemctl enable strongswan
systemctl start strongswan
生成证书 生成 CA 根证书
1. 生成一个私钥：
strongswan pki -- gen -- outform pem > ca .key .pem
2. 基于这个私钥自己签一个 CA 根证书：
strongswan pki -- self -- in ca .key .pem -- dn "C=CN, O=ITnmg, CN=ITnmg StrongSwan CA" -- ca -- lifetime 3650 -- outform pem > ca .cert .pem
–self 表示自签证书
C 表示国家名，同样还有 ST 州/省名，L 地区名，STREET（全大写） 街道名
O 组织名称
CN 友好显示的通用名
–ca 表示生成 CA 根证书
生成服务器端证书 1. 同样先生成一个私钥
strongswan pki -- gen -- outform pem > server .key .pem
2. 用我们刚才自签的 CA 证书给自己发一个服务器证书：
#从私钥生成公钥
strongswan pki -- pub -- in server .key .pem -- outform pem > server .pub .pem
#用刚生成的公钥生成服务器证书
strongswan pki -- issue -- lifetime 3600 -- cacert ca .cert .pem -- cakey ca .key .pem -- in server .pub .pem -- dn "C=CN, O=ITnmg, CN=vpn.itnmg.net" -- san = "vpn.itnmg.net" -- flag serverAuth -- flag ikeIntermediate -- outform pem > server .cert .pem
–issue, –cacert 和 –cakey 就是表明要用刚才自签的 CA 证书来签这个服务器证书。
iOS 客户端要求 CN 也就是通用名必须是你的服务器的 URL 或 IP 地址;
Windows 7 不但要求了上面，还要求必须显式说明这个服务器证书的用途（用于与服务器进行认证），–flag serverAuth;
非 iOS 的 Mac OS X 要求了“IP 安全网络密钥互换居间（IP Security IKE Intermediate）”这种增强型密钥用法（EKU），–flag ikdeIntermediate;
Android 和 iOS 都要求服务器别名（serverAltName）就是服务器的 URL 或 IP 地址，–san。
生成客户端证书(可选) 客户端证书是在启用客户端证书验证的时候, 用于验证客户端用户身份的. 每个用户一个证书. 如果需要很高的安全性, 可以用客户端证书, 一般情况下, 不需要使用.
1. 依然是生成私钥：
strongswan pki -- gen -- outform pem > client .key .pem
2. 然后用刚才自签的 CA 证书来签客户端证书：
#从私钥生成公钥
strongswan pki -- pub -- in client .key .pem -- outform pem > client .pub .pem
#这里就不需要上面那一堆特殊参数了
strongswan pki -- issue -- lifetime 1200 -- cacert ca .cert .pem -- cakey ca .key .pem -- in client .pub .pem -- dn "C=CN, O=ITnmg, CN=vpn.itnmg.net" -- outform pem > client .cert .pem
打包证书为 pkcs12
openssl pkcs12 - export - inkey client .key .pem - in client .cert .pem - name "ITnmg StrongSwan Client Cert" - certfile ca .cert .pem - caname "ITnmg StrongSwan CA" - out client .cert .p12
此时会提示输入两次密码, 这个密码是在导入证书到其他系统时需要验证的. 没有这个密码即使别人拿到了证书也没法使用.
安装证书
cp - r ca .key .pem / etc / strongswan / ipsec .d / private /
cp - r ca .cert .pem / etc / strongswan / ipsec .d / cacerts /
cp - r server .cert .pem / etc / strongswan / ipsec .d / certs /
cp - r server .pub .pem / etc / strongswan / ipsec .d / certs /
cp - r server .key .pem / etc / strongswan / ipsec .d / private /
cp - r client .cert .pem / etc / strongswan / ipsec .d / certs /
cp - r client .key .pem / etc / strongswan / ipsec .d / private /
把 CA 证书(ca.cert.pem)、客户端证书(client.cert.pem)和 .p12 证书(client.cert.p12)用 FTP 复制出来给客户端用
配置 vpn
先修改主配置
官方文档
nano / etc / strongswan / ipsec .conf
下面是一些常用的设置说明
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
config setup
#是否缓存证书吊销列表
#<em>cachecrls = yes</em>
#是否严格执行证书吊销规则
# strictcrlpolicy=yes
#如果同一个用户在不同的设备上重复登录,yes 断开旧连接,创建新连接;no 保持旧连接,并发送通知; never 同 no, 但不发送通知.
uniqueids = no
#配置根证书, 如果不使用证书吊销列表, 可以不用这段. 命名为 %default 所有配置节都会继承它
#ca %default
#证书吊销列表url,可以是 LDAP, http, 或文件路径
#crluri = <uri>
#定义连接项, 命名为 %default 所有连接都会继承它
conn % default
#是否启用压缩, yes 表示如果支持压缩会启用.
compress = yes
#当意外断开后尝试的操作, hold, 保持并重连直到超时.
dpdaction = hold
#意外断开后尝试重连时长
dpddelay = 30s
#意外断开后超时时长, 只对 IKEv1 起作用
dpdtimeout = 60s
#闲置时长,超过后断开连接.
inactivity = 300s
#数据传输协议加密算法列表
esp = aes256 - sha256 , aes256 - sha1 , 3des - sha1 !
#密钥交换协议加密算法列表
ike = aes256 - sha1 - modp1024 , aes128 - sha1 - modp1024 , 3des - sha1 - modp1024 !
#默认的密钥交换算法, ike 为自动, 优先使用 IKEv2
keyexchange = ike
#服务端公网ip, 可以是魔术字 %any，表示从本地ip地址表中取.
left = % any
#客户端ip, 同上
right = % any
#指定服务端与客户端的dns, 多个用","分隔
leftdns = 8.8.8.8 , 8.8.4.4
rightdns = 8.8.8.8 , 8.8.4.4
#服务端用于ike认证时使用的端口, 默认为500,如果使用了nat 转发, 则使用4500
#leftikeport = <port>
#服务器端虚拟ip地址
#leftsourceip = %config
#客户端虚拟ip段
rightsourceip = 10.0.0.0 / 24
#服务器端子网, 魔术字 0.0.0.0/0. 如果为客户端分配虚拟 IP 地址的话，那表示之后要做 iptables 转发，那么服务器端就必须是用魔术字
leftsubnet = 0.0.0.0 / 0
#rightsubnet = <ip subnet>[[<proto/port>]][,...]
conn IKEv2 - BASE
#服务器端根证书DN名称
leftca = "C=CN, O=ITnmg, CN=ITnmg StrongSwan CA"
#服务器证书, 可以是 PEM 或 DER 格式
leftcert = server .cert .pem
#不指定客户端证书路径
#rightcert = <path>
#指定服务器证书的公钥
leftsigkey = server .pub .pem
#rightsigkey = <raw public key> | <path to public key>
#是否发送服务器证书到客户端
leftsendcert = always
#客户端不发送证书
rightsendcert = never
#服务端认证方法,使用证书
leftauth = pubkey
#客户端认证使用 EAP 扩展认证 , 貌似 eap-mschapv2 比较通用
rightauth = eap - mschapv2
#服务端id, 可以任意指定, 默认为服务器证书的 subject, 还可以是魔术字 %any，表示什么都行.
leftid = vpn .itnmg .net
#客户端id, 任意
rightid = % any
#ios, mac os, win7+, linux
conn IKEv2 - EAP
also = IKEv2 - BASE
#指定客户端eap id
eap_identity = % any
#不自动重置密钥
rekey = no
#开启IKE 消息分片
fragmentation = yes
#当服务启动时, 应该如何处理这个连接项. add 添加到连接表中.
auto = add
我的设置项
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
config setup
uniqueids = no
conn % default
compress = yes
esp = aes256 - sha256 , aes256 - sha1 , 3des - sha1 !
ike = aes256 - sha256 - modp2048 , aes256 - sha1 - modp2048 , aes128 - sha1 - modp2048 , 3des - sha1 - modp2048 , aes256 - sha256 - modp1024 , aes256 - sha1 - modp1024 , aes128 - sha1 - modp1024 , 3des - sha1 - modp1024 !
keyexchange = ike
keyingtries = 1
leftdns = 8.8.8.8 , 8.8.4.4
rightdns = 8.8.8.8 , 8.8.4.4
conn ikev2 - eap
leftca = "C=CN, O=ITnmg, CN=ITnmg StrongSwan CA"
leftcert = server . cert . pem
leftsendcert = always
rightsendcert = never
leftid = vpn . itnmg . net
left = % any
right = % any
leftauth = pubkey
rightauth = eap - mschapv2
leftfirewall = yes
leftsubnet = 0.0.0.0 / 0
rightsourceip = 10.1.0.0 / 16
fragmentation = yes
rekey = no
eap_identity = % any
auto = add
修改 dns 配置
v5.1.2 之后, 所有插件配置都分散在 /etc/strongswan/strongswan.d/ 目录中.
nano / etc / strongswan / strongswan .d / charon .conf
修改如下
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
charon {
duplicheck .enable = no #同时连接多个设备,把冗余检查关闭.
# windows 公用 dns
dns1 = 8.8.8.8
dns2 = 8.8.4.4
#以下是日志输出, 生产环境请关闭.
filelog {
/ var / log / charon .log {
# add a timestamp prefix
time_format = % b % e % T
# prepend connection name, simplifies grepping
ike_name = yes
# overwrite existing files
append = no
# increase default loglevel for all daemon subsystems
default = 1
# flush each line to disk
flush_line = yes
}
}
}
配置验证方式的用户名与密码
nano / etc / strongswan / ipsec .secrets
下面添加用户
#使用证书验证时的服务器端私钥
#格式 : RSA <private key file> [ <passphrase> | %prompt ]
: RSA server .key .pem
#使用预设加密密钥, 越长越好
#格式 [ <id selectors> ] : PSK <secret>
% any : PSK "预设加密密钥"
#EAP 方式, 格式同 psk 相同
用户名 : EAP "密码"
#XAUTH 方式, 只适用于 IKEv1
#格式 [ <servername> ] <username> : XAUTH "<password>"
用户名 : XAUTH "密码"
开启内核转发
写入以下配置
# VPN
net .ipv4 .ip_forward = 1
net .ipv6 .conf .all .forwarding = 1
保存退出, 执行下面命令.
配置防火墙
iptables 配置方法
将下面几条规则加入 iptables 规则中, 适当使用 -I 参数替换 -A 参数, 确保所有的项目位置都在拒绝项前面.
#开放端口
iptables - A INPUT - p udp -- dport 500 - j ACCEPT
iptables - A INPUT - p udp -- dport 4500 - j ACCEPT
#启用ip伪装
iptables - t nat - I POSTROUTING - s 10.1.0.0 / 16 - o eth0 - m policy -- dir out -- pol ipsec - j ACCEPT
iptables - t nat - A POSTROUTING - s 10.1.0.0 / 16 - o eth0 - j MASQUERADE
#添加转发
iptables - A FORWARD - s 10.1.0.0 / 16 - j ACCEPT
#保存规则
service iptables save
#重启服务
systemctl restart iptables
如果嫌上面的操作麻烦, 可以直接编辑 iptables 规则文件.
nano / etc / sysconfig / iptables
将下面的规则部分贴进去, 不要整个复制粘贴, 根据原有规则适当调整每条规则的位置, 确保规则在拒绝项前, 使之能生效.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
* nat
: PREROUTING ACCEPT [ 0 : 0 ]
: INPUT ACCEPT [ 0 : 0 ]
: OUTPUT ACCEPT [ 0 : 0 ]
: POSTROUTING ACCEPT [ 0 : 0 ]
- A POSTROUTING - s 10.1.0.0 / 16 - o eth0 - m policy -- dir out -- pol ipsec - j ACCEPT
- A POSTROUTING - s 10.1.0.0 / 16 - o eth0 - j MASQUERADE
COMMIT
* filter
: INPUT DROP [ 0 : 0 ]
: FORWARD DROP [ 0 : 0 ]
: OUTPUT ACCEPT [ 0 : 0 ]
- A INPUT - m state -- state RELATED , ESTABLISHED - j ACCEPT
- A INPUT - p icmp - j ACCEPT
- A INPUT - i lo - j ACCEPT
- A INPUT - p tcp - m state -- state NEW - m tcp -- dport 22 - j ACCEPT
- A INPUT - p udp - m udp -- dport 500 - j ACCEPT
- A INPUT - p udp - m udp -- dport 4500 - j ACCEPT
- A INPUT - j REJECT -- reject - with icmp - host - prohibited
- A FORWARD - s 10.1.0.0 / 16 - j ACCEPT
- A FORWARD - j REJECT -- reject - with icmp - host - prohibited
COMMIT
保存退出, 重启 iptables 使之生效.
systemctl restart iptables
以下是 firewallD 的配置方法, 使用 iptables 的可以忽略.
firewalld 介绍请看 <<CentOS 7 firewalld 动态防火墙介绍>>
首先将公网网卡添加到当前区域中
编辑网卡配置
nano / etc / sysconfig / network - scripts / ifcfg - eth0
在最末尾加上区域配置
保存退出,重启服务
systemctl restart network
systemctl restart firewalld
然后新建一个服务
nano / etc / firewalld / services / strongswan .xml
填入以下内容
<? xml version = "1.0" encoding = "utf-8" ?>
< service >
< short > Strongswan < / short >
< description > Strongswan VPN < / description >
< port protocol = "udp" port = "500,4500" / >
< / service >
保存退出
添加服务到当前区域, 开启转发
#以下命令没有指定 --zone 参数, 都是针对默认区域 public
#为区域添加服务
firewall - cmd -- permanen -- add - service = strongswan
#启用ip伪装
firewall - cmd -- permanen -- add - rich - rule = 'rule family="ipv4" source address="10.1.0.0/16" masquerade'
#添加 nat 转发
firewall - cmd -- permanen -- add - rich - rule = 'rule family="ipv4" source address="10.1.0.0/16" forward-port port="4500" protocol="udp" to-port="4500"'
firewall - cmd -- permanen -- add - rich - rule = 'rule family="ipv4" source address="10.1.0.0/16" forward-port port="500" protocol="udp" to-port="500"'
#重新加载防火墙配置
firewall - cmd -- reload
除了用 firewall-cmd 命令外, 还可以换种方法添加上面的规则.
#编辑当前区域的xml配置文件
nano / etc / firewalld / zones / public .xml
改成如下内容, 我这里只开放了 ssh 和 vpn 端口, 其他内容根据各自的情况修改.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
<? xml version = "1.0" encoding = "utf-8" ?>
< zone >
< short > Public < / short >
< description > For use in public areas . You do not trust the other computers on networks to not harm your computer . Only selected incoming connections are accepted . < / description >
< service name = "strongswan" / >
< service name = "ssh" / >
< rule family = "ipv4" >
< source address = "10.1.0.0/16" / >
< forward - port to - port = "4500" protocol = "udp" port = "4500" / >
< / rule >
< rule family = "ipv4" >
< source address = "10.1.0.0/16" / >
< forward - port to - port = "500" protocol = "udp" port = "500" / >
< / rule >
< rule family = "ipv4" >
< source address = "10.1.0.0/16" / >
< masquerade / >
< / rule >
< / zone >
#重新加载防火墙配置
firewall - cmd -- reload
配置完防火墙后重启 strongswan 服务
strongswan stop #使用strongswan 自身的命令停止服务
systemctl start strongswan #使用 systemctl 命令启动服务
这里不使用 strongswan restart 命令的原因是, 使用这条命令后, 再用 systemctl status strongswan 命令得不到正确的运行状态.
至此, 服务端配置已完成.
为了学用 firewalld , 特意用了两天时间研究, 学会了才发现, firewalld 要比 iptables 占太多内存. 小内存的 vps 用 firewalld 有点奢侈. 还是换回 iptables 了.
客户端配置
IOS:
先导入 CA 证书
将之前创建的 ca.cert.pem 用 ftp 导出 , 写邮件以附件的方式发到邮箱, 在 ios 浏览器登录邮箱, 下载附件, 安装 ca 证书.
1. 使用 IKEv2 + EAP 认证
找到手机上 “设置->VPN->添加配置”, 选 IKEv2
描述: 随便填
服务器: 填url或ip
远程ID: ipsec.conf 中的 leftid
用户鉴定: 用户名
用户名: EAP 项用户名
密码: EAP 项密码
2. 使用 IKEv2 + 客户端证书 认证
把之前的 .p12 证书(里面包含ca证书)发到邮箱在手机上打开. 导入到手机(此时需要之前设置的证书密码).
找到手机上 “设置->VPN->添加配置”, 选 IKEv2
描述: 随便填
服务器: 填url或ip
远程ID: ipsec.conf 中的 leftid
用户鉴定: 证书
证书: 选择安装完的客户端证书
3. 使用 IKEv2 + 预设密钥 认证
找到手机上 “设置->VPN->添加配置”, 选 IKEv2
描述: 随便填
服务器: 填url或ip
远程ID: ipsec.conf 中的 leftid
用户鉴定: 无
使用证书: 关
密钥: PSK 项密钥
Windows 10
导入证书：
将 CA 根证书 ca.cert.pem 重命名为 ca.cert.crt
双击 ca.cert.crt 开始安装证书
点击安装证书
“存储位置” 选择 “本地计算机”, 下一步
选择 “将所有的证书都放入下列存储区”, 点浏览, 选择 “受信任的根证书颁发机构”, 确定, 下一步, 完成.
建立连接：
“控制面板”-“网络和共享中心”-“设置新的连接或网络”-“连接到工作区”-“使用我的 Internet 连接”
Internet 地址写服务器 IP 或 URL。
描述随便写。
用户名密码写之前配置的 EAP 的那个。
确定
转到 控制面板网络和 Internet网络连接
在新建的 VPN 连接上右键属性然后切换到“安全”选项卡
VPN 类型选 IKEv2
数据加密选“需要加密”
身份认证这里需要说一下，如果想要使用 EAP 认证的话就选择“Microsoft:安全密码(EAP-MSCHAP v2)”; 想要使用私人证书认证的话就选择“使用计算机证书”。
再切换到 “网络” 选项卡, 双击 “Internet 协议版本 4” 以打开属性窗口, 这里说一下, 如果你使用的是老版本的 win10, 可能会打不开属性窗口, 这是已知的 bug, 升级最新版本即可解决.
点击 “高级” 按钮, 勾选 “在远程网络上使用默认网关”, 确定退出.
VPN 配置完成
Windows 7 导入证书略有不同
开始菜单搜索「cmd」，打开后输入 mmc（Microsoft 管理控制台）。
「文件」-「添加/删除管理单元」，添加「证书」单元
证书单元的弹出窗口中一定要选「计算机账户」，之后选「本地计算机」，确定。
在左边的「控制台根节点」下选择「证书」-「受信任的根证书颁发机构」-「证书」，右键 -「所有任务」-「导入」打开证书导入窗口。
选择 CA 证书 ca.cert.crt 导入即可
注意 千万不要双击 .p12 证书导入！因为那样会导入到当前用户而不是本机计算机中，ipsec 守护精灵是访问不了它的。
好文章啊，不过发现两个错误
第一个是iptables的配置iptables -A FORWARD -s 10.0.0.0/24 -j ACCEPT 应该是iptables -A FORWARD -s 10.1.0.0/24 -j ACCEPT
另一个是 leftid = @vpn.itnmg.net 不应该带@。 我是直接用的ip地址，根据这个http://blog.csdn.net/sonflower123/article/details/52846145，应该和签证书的时候的san一样
lz不知道我能不能转载一下你的这个文章，我会注明原作的
多谢提醒, 由于文章更新过多次, 有些地方疏忽了. leftid 的写法没有错, 带不带@都可以, 其实还省略了一段用户名, 如果指定用户名,比如 xxx@vpn.itnmg.net. 那么这段配置就是针对这个 id 的, 如果没指定, 对所有id都有效.
可以转载, 好东西大家分享.
你好，我根据文章里面生成的ca.cert.pem证书，在Mac最新的Serra系统里面，双击之后输入密码在keychain里面看不到证书啊？
mac 系统没用过, 不过证书都是通用的, 可能是你安装到的位置没选对吧.
你好，我不是很懂网络方面的东西，详细的按照你的方案做完后，win7上连接vpn显示策略匹配错误。我的vps是阿里云的专有网络国外的。公网ip和网卡ip不一样，公网ip是映射的。能帮大致判断下是什么问题吗？
先确定外网能不能访问你的VPN服务, 用 telnet 试一下vpn用的那几个端口.
麻烦问下 安卓手机连接的话 怎么弄？ 有没有交流群的？
没用过 android 系统, 不过步骤都是一样的, 先装根证书, 再配置 vpn, 然后用账号密码登录就行了.
我们公司在网络出口放了一台centos6.5的软路由，想在上面设置ipsec IKEV2客户端后自动翻墙，现在centos6.5 连上了vpn的服务器，vpn网卡绑在出口网卡上，全部流量自动翻墙，但是国内的流量我们不想翻墙再回来访问。我们有国内的IP段，想设置白名单，请问楼主有什么方法吗？或者可以在strongswan启动时，自动创建一个虚拟网卡吗？
如果我没记错的话, strongswan 是可以下发路由表的, 不过这部分功能我还没研究过, 你可以找找相关的资料看看.
被GFW挡了，访问要翻墙
你说我的博客? 不会吧, 我在公司和家里访问都正常啊.
之前 google 搜索看过好几篇 strongswan 的文章，不过没看到这篇，还是 maskray 的博客链接过来的。现在搜索「it 农民工 strongswan」也没直接找到这篇的链接，似乎没索引？
这个不清楚, 我也没做SEO. 只是记录一下平时的经验.
看了一下访问来源, 一般都是别的地方引过来的.
Nov 11 10:33:40 14[NET] received packet: from 117.136.0.160[29775] to 172.32.2.24[500] (604 bytes)
Nov 11 10:33:40 14[ENC] parsed IKE_SA_INIT request 0 [ SA KE No N(REDIR_SUP) N(NATD_S_IP) N(NATD_D_IP) N(FRAG_SUP) ]
Nov 11 10:33:40 14[IKE] 117.136.0.160 is initiating an IKE_SA
Nov 11 10:33:40 14[IKE] local host is behind NAT, sending keep alives
Nov 11 10:33:40 14[IKE] remote host is behind NAT
Nov 11 10:33:40 14[ENC] generating IKE_SA_INIT response 0 [ SA KE No N(NATD_S_IP) N(NATD_D_IP) N(FRAG_SUP) N(MULT_AUTH) ]
Nov 11 10:33:40 14[NET] sending packet: from 172.32.2.24[500] to 117.136.0.160[29775] (448 bytes)
Nov 11 10:33:40 11[NET] received packet: from 117.136.0.160[49581] to 172.32.2.24[4500] (496 bytes)
Nov 11 10:33:40 11[ENC] parsed IKE_AUTH request 1 [ IDi N(INIT_CONTACT) N(MOBIKE_SUP) IDr CPRQ(ADDR DHCP DNS MASK ADDR6 DHCP6 DNS6) N(ESP_TFC_PAD_N) N(NON_FIRST_FRAG) SA TSi TSr ]
Nov 11 10:33:40 11[CFG] looking for peer configs matching 172.32.2.24[@172.32.2.24]…117.136.0.160[10.131.36.84]
Nov 11 10:33:40 11[CFG] no matching peer config found
Nov 11 10:33:40 11[IKE] received ESP_TFC_PADDING_NOT_SUPPORTED, not using ESPv3 TFC padding
Nov 11 10:33:40 11[IKE] peer supports MOBIKE
Nov 11 10:33:40 11[ENC] generating IKE_AUTH response 1 [ N(AUTH_FAILED) ]
Nov 11 10:33:40 11[NET] sending packet: from 172.32.2.24[4500] to 117.136.0.160[49581] (80 bytes)
您好 这是我每连接一次vpn，服务器都会产出日志。日志里没有error，但是有提示错误。然后vpn连接不上。 望您赐教，不胜感激（我是公司出口IP做了500和1500的映射到这台机器）
ipsec.conf 没配置对, 找不到对应的配置节.
你按我的配置试一下.
LZ遇到过L2TP不跑流量的情况么？我搭建的L2TP协议刚连接上都正常。几秒之后不再有流量产生，但是VPN连接并不断开呢
l2tp 就不要用了. 兲朝特色, 你应该懂的.
如果想用radius来认证的话，可以实现吗？
没研究过, 不过貌似看到过相关的文章. 可以实现计费系统.
能进一步交流下吗？加Q可以不 5-0-5-7 9-5-3 4